防火墙 之 iptables语法介绍

1  概述

设置防火墙策略有以下两条原则：

A 任何不允许的访问，应该在请求到达时给予拒绝

B 规则在链接上的次序即为其检查时的生效次序

.基于上述的原则，用以下7条规则进行优化

.1)安全放行所有入站和出站的状态为ESTABLISHED状态连接，如果状态已经是ESTABLISHED，说明已经建立连接了，这种规则建议放在靠前的规则，这样速度回比较快。

.2)谨慎放行入站的新请求

.3)有特殊目的限制访问功能，要在放行规则之前加以拒绝。

.4)同类规则（访问同一应用），匹配范围小的放在前面，用于特殊处理

.5)不同类的规则（访问不同应用），匹配范围大的放在前面

.6)应该将那些可由一条规则能够描述的多个规则合并为一条

.7)设置默认策略，建议白名单（只放行特定连接，DROP），黑名单是放行ACCEPT

7.1）iptables-P，不建议

7.2）建议在规则的最后定义规则做为默认策略

本文主要对iptables命令的语句的语法进行简要介绍

2  语法格式

.规则格式：iptables  [-t table] SUBCOMMAND chain [-m matchname  [per-match-options]]  -j  targetname[per-target-options]

其中，-t  指定表table：raw,mangle, nat, filter，默认是filter。-j是jump的意思

通过man 8 iptables查看iptables的man帮助文档

iptables的命令主要有以下的格式

.iptables [-t table] {-A|-C|-D}chain rule-specification

#这里如果不指定表名，就是用默认的filter

.iptables [-t table] -I chain[rulenum] rule-specification

.iptables [-t table] -R chainrulenum rule-specification

.iptables [-t table] -D chainrulenum

.iptables [-t table] -S [chain[rulenum]]

.iptables [-t table] {-F|-L|-Z}[chain [rulenum]] [options...]

.iptables [-t table] -N chain

.iptables [-t table] -X [chain]

.iptables [-t table] -P chain target

.iptables [-t table] -Eold-chain-name new-chain-name

.rule-specification = [matches...][target]

.match = -m matchname[per-match-options]

.target = -j targetname[per-target-options]

3  iptables 命令格式介绍

3.1 SUBCOMMAND：

subcommand分为三个部分：1链管理，2查看，3规则管理

3.1.1、链管理：

-N：new,自定义一条新的规则链，自定义链，这里动作如果是自定义链的话，表示和其他的链进行关联，达到灵活的控制

例子：

#定义一条新的链，名字为diy_chain

iptables -N diy_chain

#定义规则用于这条链上

iptables -A diy_chain -ptcp --tcp-flag ALL ALL -j REJECT

#将自定义的链和系统的默认的链做关联，这里可以把自定义的链当做是一个变量，这个变量里定义了一组规则。通过-j选项来关联。所以可以把常用的防火墙规则自定义为链。如果要使用，只需要调用该自定义链即可，使用时把自定义和现有系统默认的的链做关联，

iptables -A INPUT -jdiy_chain

或者,表示来说192.168.32.75的ip的包都关联到INPUT链，调用diy_chain这条自定义的链

iptables -A INPUT -s192.168.32.75  -j diy_chain

-X：delete，删除自定义的空的规则链，要先清空规则后才能删除，如果有调用关系，也要把调用的关系清掉，然后才能用-X删除自定义的链

例子

先清空自定义链上的规则

iptables -F diy_chain

然后清空调用的系统链的绑定，

iptables -D INPUT -jdiy_chain

最后才能删除自定义链

iptables -X diy_chain

-P：Policy，设置默认策略；对filter表中的链而言，其默认策略有：

ACCEPT：接受

DROP：丢弃

这个不修改这个策略。这个策略用iptables-F清空不了。需要用该命令用iptables -A INPUTACCEPT来修改策略。

例子

iptables -A INPUT DROP

-E：重命名自定义链；引用计数不为0的自定义链不能够被重命名，也不能被删除

3.1.2、查看：

-L：list,列出指定鏈上的所有规则，本选项须置后，如果有dns，则会把ip解析成url。加-n就不会解析

-n：numberic，以数字格式显示地址和端口号

-v：verbose，详细信息

-vv更详细

-x：exactly，显示计数器结果的精确值,而非单位转换后的易读值

--line-numbers：显示规则的序号，默认编号不显示，需要自己加，顺序对防火墙来说很关键

常用组合：

--vnL

--vvnxL  --line-numbers

-S selected,以iptables-save命令格式显示链上规则

注意系统默认的防火墙规则是放在文件/etc/sysconfig/iptables里，写入这个文件的防火墙策略是可以被保存的，当启动防火墙服务的时候，默认就会添加这些防火墙策略

3.1.3、规则管理：

-A：append，追加

-I：insert,插入，要指明插入至的规则编号，默认为第一条，注意，这里-I如果要指定数字，不能比当前防火墙规则最大的数字还大，但是可以等于最大的编号，因为这个-I选项默认是插入中间的规则，往前插入。

-D：delete，删除

(1)指明规则序号

如iptables -D INPUT 3

删掉第三条规则

(2)指明规则本身

iptables -D INPUT -s1.1.1.7 -j ACCEPT

-R：replace，替换指定链上的指定规则编号

#替换掉变化为3的策略

iptables -R INPUT 3 -s1.1.1.8 -j ACCEPT

-F：flush，清空指定的规则链

#清空FORWARD链的策略，如果不指定。默认是清空INPUT链

iptables -F FORWARD

-Z：zero，置零

iptables的每条规则都有两个计数器，-Z会将这两个计数器都清零

(1)匹配到的报文的个数

(2)匹配到的所有报文的大小之和

.chain：PREROUTING，INPUT，FORWARD，OUTPUT，POSTROUTING

3.2匹配条件

基本：通用的，PARAMETERS，无需加载模块，由iptables/netfilter自行提供

扩展：需要加载扩展模块（/usr/lib64/xtables/*.so），方可生效。其中扩展分为显示扩展和隐式扩展

关于匹配条件，参见博客：http://www.jianshu.com/p/6fe53c3416b3

3.3处理动作Target

.-j  targetname [per-target-options]

简单：

ACCEPT，DROP

扩展：

REJECT：--reject-with:icmp-port-unreachable默认

RETURN：返回调用链

REDIRECT：端口重定向

LOG：记录日志，dmesg，非中断target,本身不拒绝和允许,放在拒绝和允许规则前并将日志记录在/var/log/messages系统日志中

--log-level level级别：emerg, alert, crit,error, warning, notice, info or debug

--log-prefix prefix日志前缀，用于区别不同的日志，最多29个字符

.示例：

表示将172.18.50.73发过来的主机，访问端口80,21,22,23端口记录日志，同时给日志报头加上"cent7c tocent6E:这些关键字

iptables -A INPUT -s172.18.50.73 -p tcp -m multiport --dports 80,21,22,23 -m state --state NEW -jLOG --log-prefix "cent7c to cent6E:"

MARK：做防火墙标记

DNAT：目标地址转换

SNAT：源地址转换

MASQUERADE：地址伪装

...

自定义链

4  防火墙规则启用和保存

4.1 规则有效期限：

使用iptables命令定义的规则，手动删除之前，其生效期限为kernel存活期限

4.2  保存防火墙规则：

保存规则至指定的文件

CentOS 6

serviceiptablessave

将规则覆盖保存至/etc/sysconfig/iptables文件中

CentOS 7可用下面方法保存规则

iptables-S > /PATH/TO/SOME_RULES_FILE

iptables-save >/PATH/TO/SOME_RULES_FILE

-S这个选项不会保存策略，只是把防火墙策略中的列表显示出来，要保存，需要重定向

加载默认规则

.CentOS 6：

service iptablesrestart

会自动从/etc/sysconfig/iptables重新载入规则

.CentOS 7重新载入预存规则文件中规则：

iptables-restore

例子：iptables-restore< /root/iptables.rule1

-n, --noflush：不清除原有规则

-t, --test：仅分析生成规则集，但不提交

4.3  开机启动

CentOS 6

设置开机启动项

chkconfig iptables on

. CentOS 7

开机自动重载规则文件中的规则：

.(1)用脚本保存各iptables命令；让此脚本开机后自动运行

/etc/rc.d/rc.local文件中添加脚本路径

/PATH/TO/SOME_SCRIPT_FILE

.(2)用规则文件保存各规则，开机时自动载入此规则文件中的规则

/etc/rc.d/rc.local文件添加

iptables-restore

.(3)自定义Unit  File，进行iptables-restore